Wie die Masche funktioniert.
Die Operation gibt sich als funktionsfähige Ethereum-Wallet-Oberfläche aus. Durch die Registrierung einer Domain, deren Punycode-Kodierung (xn--metherwallet-3ml.com) in bestimmten Browsern optisch nahezu identisch zu einem weit verbreiteten Ethereum-Wallet-Dienst dargestellt wird, positioniert sich der Betreiber so, dass er den Datenverkehr von Nutzern abfängt, die entweder die legitime Adresse falsch eintippen oder einem gefälschten Link folgen. Die Oberfläche imitiert das erwartete Layout eines Werkzeugs für selbstverwaltete Wallets und richtet sich an Inhaber von Ether und ERC-20-Token.
Die Mechanik beruht auf einem IDN-Homograph-Angriff, einer Technik, bei der ein oder mehrere Unicode-Zeichen optisch ähnliche ASCII-Buchstaben in einem Domainnamen ersetzen. Die Adressleiste des Browsers zeigt unter Umständen die dekodierte Form der Domain an, sodass sie einem Nutzer, der die zugrunde liegende Punycode-Zeichenkette nicht überprüft, echt erscheint. Opfer, die über die Oberfläche auf eine Wallet zugreifen oder diese wiederherstellen wollen, werden in der Regel aufgefordert, eine Seed-Phrase oder einen privaten Schlüssel einzugeben, den der Betreiber in Echtzeit erfasst, bevor die Sitzung endet.
Der Moment der Entdeckung tritt meist ein, wenn ein Opfer versucht, Gelder zu überweisen, und sein Guthaben bereits abgeräumt vorfindet. Da die Übermittlung einer Seed-Phrase unumkehrbar ist und vollständigen Zugriff auf eine Wallet gewährt, hängt die Rückgewinnung von Vermögenswerten zu diesem Zeitpunkt vollständig von einer forensischen Nachverfolgung auf Blockchain-Ebene ab und nicht von irgendeiner Form direkter Rückabwicklung. Betreiber hinter Homograph-Domain-Infrastrukturen geben die Domain in der Regel kurz nach einem Erntezyklus auf und hinterlassen weder einen Kundensupport-Kanal noch eine eingetragene Gesellschaft oder eine identifizierbare Gegenpartei, die man verfolgen könnte.
Warnsignale, die wir dokumentiert haben.
- 01Punycode prefix signals homograph intentThe xn-- prefix in the domain name is not a formatting quirk; it is the technical marker that this domain contains Unicode characters. Its presence in a wallet-adjacent domain name is a near-universal indicator of a lookalike or impersonation operation rather than a legitimate service.
- 02Listed on CryptoScamDB community blacklistThe domain appears in the CryptoScamDB blacklist, a widely-referenced dataset of confirmed malicious cryptocurrency addresses and URLs maintained through community contribution and ongoing verification. Inclusion is a hard signal, not a probabilistic one.
- 03Seed-phrase solicitation is an absolute loss signalAny web interface requesting a wallet seed phrase or private key operates outside all legitimate norms. No genuine non-custodial wallet service requires this for standard access. Submission to an unverified site constitutes an immediate, total, and irreversible transfer of wallet control to the operator.
- 04No legitimate wallet platform uses IDN homograph domainsEstablished cryptocurrency wallet services do not register their primary interfaces under internationalised domain names that incorporate Unicode lookalike characters. Such registrations have no plausible commercial purpose other than deception.
- 05Disposable infrastructure with no verifiable operatorHomograph-domain operations are low-cost to create and trivial to abandon. No corporate identifiers, regulatory licences, or verifiable operator details are associated with this domain, which is consistent with infrastructure designed for a single harvest cycle rather than a sustainable service.
Was Sie jetzt tun können.
Open a free 24-hour case assessment with CryptoLeek +
Tell us what happened. A senior analyst reads your file within 24 hours and replies with an honest yes/no/conditional on recovery. The assessment is free. If we cannot recover the funds we say so plainly, including which (free) regulator channel you should use instead. If we accept the case, we open a numbered case file and issue a written quote for a flat investigation retainer before any work begins, scoped to case complexity, the jurisdictions involved, and the on-chain trail.
Trace your funds on-chain with our analysts +
We trace stolen crypto across BTC, ETH, EVM L2s, Solana, Tron, and major stablecoins using the same toolchain as regulators and tier-1 exchange compliance teams. The output is a forensic report anchored to specific transaction hashes and block heights, the evidence that exchanges, payment processors, and counsel actually act on. Recovery starts here.
Recover with counsel where civil action makes sense +
Where the trace lands in a jurisdiction with cooperative banks and courts, we coordinate with bar-licensed counsel in our 40+ jurisdiction network for civil action and asset-freezing orders (Mareva-style). Counsel bill you directly; the CryptoLeek investigation retainer is independent of counsel fees. The outcome is funds released back to your nominated wallet or bank account.